Neuer Server - Port 21 offen ohne FTP

[lloy]

Hallo,

Habe gleich bei meinem ersten Beitrag eine Frage zum Thema Sicherheit.

Ich bin gerade dabei meinen ersten Rootserver einzurichten und abzusichern (SuSE 10.1). Bis alles fertig ist, soll erstmal nur SSH nach draussen horchen. Ich habe jetzt mit NMAP einen Portscan durchgeführt: Angeblich ist Port 21 offen. FTP (vsftp) ist aber werde aktiv, noch kann er über xinetd gestartet werden. "lsof -i | grep -e LISTEN" zeigt mir, dass nur SSH und ein Daemon zmd (auf localhost) auf Listening stehen...

Wenn ich mit Telnet auf Port 21 verbinde, kommt keine Fehlermeldung, so als wäre der Port tatsächlich offen. Drücke ich eine Taste, klappt die "Verbindung" aber zusammen.

Ich kapiers nicht, der Server ist heute gerade frisch angekommen und noch nicht als Webserver gelaufen. Entweder habe ich Paranoia und Nmap spinnt oder da hält tatsächlich irgendwas den Port offen.

Hat jemand evtl. eine Idee, was das sein könnte? Wäre für jede Hilfe dankbar.

[theomega]

Code: Select all

man netstat
netstat -plentux

[lloy]

Auch hier das gleiche Bild: sshd und zmp auf Listen.
Oder was meinst Du damit?

[theomega]

Was ist den bitte zmd? Sagt mir jetzt nichts? Von wo aus scannst du, vom selben host aus oder von ausen?

[lloy]

apropos zmd sagt

The backend daemon for the Novell ZENworks Linux Management Agent.

Mehr weiss ich leider auch nicht, der Daemon scheint aber an localhost gebunden.

Nmap hatte ich natürlich von aussen laufen lassen.

Netstat von innen.

[lloy]

hier nochmal das Ergebnis:

Code: Select all

suse101lamp:~ # netstat -plentux
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address           Foreign Address         State                         User       Inode      PID/Program name
tcp        0      0 127.0.0.1:2544          0.0.0.0:*               LISTEN                        0          6825       2691/zmd
tcp        0      0 :::61616                :::*                    LISTEN                        0          14043      4826/sshd
Active UNIX domain sockets (only servers)
Proto RefCnt Flags       Type       State         I-Node PID/Program name    Pat                  h
unix  2      [ ACC ]     STREAM     LISTENING     2240   908/dbus-daemon     /va                  r/run/dbus/system_bus_socket
unix  2      [ ACC ]     STREAM     LISTENING     6525   2539/resmgrd        /va                  r/run/.resmgr_socket
unix  2      [ ACC ]     STREAM     LISTENING     6604   2580/acpid          /va                  r/run/acpid.socket
unix  2      [ ACC ]     STREAM     LISTENING     6823   2691/zmd            /va                  r/run/zmd/zmd-remoting.socket
unix  2      [ ACC ]     STREAM     LISTENING     6171   2324/dbus-daemon    /va                  r/run/dbus/system_bus_socket
unix  2      [ ACC ]     STREAM     LISTENING     5241   1933/hald           @/t                  mp/hald-local/dbus-bHlnGqL8Bi
unix  2      [ ACC ]     STREAM     LISTENING     10323  3515/nscd           /va                  r/run/nscd/socket

[theomega]

Da passt doch was hinten und vorne nicht:
Der SSHD lauscht doch garnicht auf port 22 bei dir sondern auf port 61616. Es dürfte also überhaupt kein Port < 1024 geöffnet sein. Sicher das nicht irgendwas gedreht wurde. Oder noch bessere Frage: Handelt es sich um einen VServer?

[Roger Wilco]

Angeblich ist Port 21 offen.

"filtered", "open" oder "closed"?

Wenn ich mit Telnet auf Port 21 verbinde, kommt keine Fehlermeldung, so als wäre der Port tatsächlich offen. Drücke ich eine Taste, klappt die "Verbindung" aber zusammen.

Du benutzt einen Paketfilter/eine Firewall, deren Default-Policy auf DROP anstatt REJECT/DENY steht.

[lloy]

@theomega: Ne, den sshd habe ich selbst da hin gelegt. Ist ein Root-Server.

Der Port ist "open" laut Nmap. Die Firewall habe ich nicht aktiviert (jetz nochmal kontrolliert) und bei allen anderen Ports kommt auch eine Fehlermeldung wenn ich versuche über Telnet zu verbinden. Könnte das evtl. irgendwas anderes vom Hoster sein? Ich weiss, dass der z.B. Port 6667 filtert u. Nmap zeigt mir auch brav 6667 filtered an.

Ich würde ja sagen, dass NMAP sich da irrt, aber die Sache mit Telnet beunruhigt mich schon etwas...

Seltsam.

[lloy]

Habe mich jetzt mal aus dem Rechenzentrum nmapen lassen u. die haben keine offenen Ports gefunden. Evtl. liegts an meinen Windows Rechner?
Naja, vielen Dank jedenfalls für Eure Hilfe.